sia G un gruppo ciclico di ordine n, sia g un generatore di G

Transcript

1 logaritmo discreto sia G un gruppo ciclico di ordine n, sia g un generatore di G dato y 1 G bisogna determinare l unico intero x con 1 x n 1 tale che g x = y ex: in U(Z 9 ) con g = 2, se y = 7 si ha x = 4, perché 2 4 = 7. l intero x si chiama il logaritmo discreto di y in base g, e si denota con log g y ex: in U(Z 9 ), 4 = log 2 7 logaritmo discreto come funzione unidirezionale in generale, lavoreremo con il gruppo Z p o più in generale con F q, q = p m, p primo, spesso p = 2 dati g generatore di Z p e x tale che 1 x p 1, calcolare y = g x è computazionalmente facile (y g x (mod p) si usa l algoritmo square-and-multiply ) si ritiene che, dati g generatore di Z p e y Z p, determinare x = log g y sia difficile (sotto opportune ipotesi su p) in particolare, p devessere grande (2048 bit), p dati g e y posso trovare x tale che g x = y per tentativi calcolando g x per tutti gli x, 1 x p 1 ma il numero di tentativi è enorme

2 scambio della chiave di Diffie-Hellman Alice e Bob scelgono pubblicamente un primo p e un elemento primitivo g (mod p) Alice sceglie casualmente a {2,..., p 2}; calcola g a mod p e invia il risultato a Bob Bob sceglie casualmente b {2,..., p 2}; calcola g b mod p e invia il risultato a Alice Alice calcola (g b ) a mod p Bob calcola (g a ) b mod p la chiave è k = g ab DH problem se Eve sa risolvere il problema del logaritmo discreto, sa ricavare la chiave comune di Bob e Alice dall osservazione di g a, g b mod p ricava a e b, quindi calcola k = g ab DH problem: dato un gruppo ciclico G, g un generatore e dati g a, g b trovare g ab basta che sappia risolvere il DH problem per trovare la chiave equivalenza DH - DL?

3 crittosistema Elgamal (ca 1985) sia p un primo, g un elemento primitivo mod p P = U(Z p ) C = U(Z p ) U(Z p ) Lo spazio delle chiavi è K = {(p, g, a, β) β g a (mod p)}. p, g e β sono la chiave pubblica a è la chiave privata crittosistema Elgamal prima di cifrare il messaggio x P, Alice sceglie un numero casuale (segreto) h {2,..., p 2} e k (x, h) = (y 1, y 2 ) con y 1 = g h, y 2 = xβ h (mod p) Bob riceve (y 1, y 2 ) U(Z p ) U(Z p ) non conosce h ma conosce a calcola y a 1 = (g h ) a = (g a ) h = β h (mod p) calcola (β h ) 1 (mod p) e ottiene x = y 2 (β h ) 1 d k ((y 1, y 2 )) = y 2 (y a 1 ) 1 (mod p) notare la somiglianza con DH non si inverte la funzione x g x (mod p) Alice sceglie un nuovo h a ogni trasmissione (randomized encryption)

4 esempio Bob sceglie p = 83, g = 2 e la chiave privata a = 30 β = mod 83 la chiave pubblica di Bob è (83, 2, 40) il messaggio di Alice è x = 54 il numero scelto per la cifratura è h = 13 Alice invia (g h, xβ h ) = (2 13, ) (58, 71) mod 83 per decifrare, Bob calcola (g h ) a = = 9 l inverso di 9 mod 83 è 37 il messaggio è quindi = 54 mod 83 la cifratura è una moltiplicazione: x xg ha si può invece usare un cifrario a blocchi (AES) e cifrare x e g ha(x) anche per Elgamal, si usa p di almeno 2048 bit, p 1 con un fattore primo grande e a fattorizzazione nota anche per violare Elgamal, basta che Eve sappia risolvere il DH problem se dati g h e β = g a sa trovare g ah = β h, può leggere il messaggio se Eve sa risolvere il logaritmo discreto può ricavare l esponente h e quindi ricavare direttamente x oppure ricavare a e decifrare come Alice (conviene h cambia in ogni trasmissione)

5 da chi proviene un messaggio? in un crittosistema simmetrico solo Alice e Bob conoscono la chiave se Bob riceve un messaggio di Alice e la decifratura del messaggio ha senso, il messaggio proviene certamente da Alice in un crittosistema a chiave pubblica, chiunque può scrivere un messaggio cifrato a Bob affermando di essere Alice serve una firma digitale firma manuale associa un documento a un utente firmatario la firma fa fisicamente parte del documento la firma viene verificata confrontandola con una firma campione depositata dovrebbe essere difficile da falsificare è vincolante dal punto di vista legale (contratti etc.)

6 firma digitale - differenze deve sempre associare un utente a un documento - tramite una stringa digitale c è bisogno di un metodo che leghi la firma al documento ci vuole un algoritmo pubblico di verifica previene la falsificazione una copia di un documento digitale è uguale all originale bisogna evitare che una firma sia riutilizzabile schemi di firma Alice firma un messaggio da mandare a Bob ci sono due componenti: un algoritmo sig per firmare e un algoritmo ver per verificare quello per firmare dev essere privato (solo Alice può firmare) quello per verificare dev essere pubblico (Bob - e chiunque altro - può verificare che viene da Alice) per firmare il messaggio x Alice usa l alg sig k che dipende da una chiave privata k, e calcola sig k (x) = y data una coppia (x, y) dove x è il messaggio e y la firma, l algoritmo ver k (x, y) dà in output vero se y è una firma valida di x, falso altrimenti

7 definizione formale Uno schema di firma è una 5-pla (P, A, K, S, V) dove 1 P è un insieme finito di possibili messaggi 2 A è un insieme finito di possibili firme 3 K, lo spazio delle chiavi, è un insieme finito di possibili chiavi 4 k K c è un algoritmo di firma sig k S e un corrispondente algoritmo di verifica ver k V. 5 sig k : P A e ver k : P A {V, F } sono funzioni tali che x P e y A vale ver k (x, y) = { V se y = sigk (x), F se y sig k (x) procedura di firma usando un PKCS l algoritmo per firmare sig k dev essere privato (solo Alice può firmare) l algoritmo per verificare ver k dev essere pubblico (Bob - e chiunque altro - può verificare che viene da Alice) idea: usare un CS a chiave pubblica (deterministico) Alice ha la chiave k A, e ka è pubblica e d ka è privata Alice firma il messaggio x ponendo sig ka (x) = y = d ka (x) (è l unica che può decifrare) invia la coppia (x, y) Bob (e chiunque altro) calcola e ka (y) se x = e ka (y), allora ver ka (x, y) = V

8 schema di firma RSA Sia N = pq, p, q primi. Sia P = A = Z N. Lo spazio delle chiavi è K = {(N, p, q, d, e) ed 1 (mod φ(n))}. N e e sono la chiave pubblica, p, q, d sono la chiave privata Se k = (N, p, q, d, e) è una chiave, poniamo sig k (x) x d (mod N) ver k (x, y) = V x y e (mod N) esempio la chiave RSA di Alice è k A = (N A, p A, q A, d A, e A ) = (2773, 47, 59, 17, 157), φ(n A ) = 2668 Alice vuole firmare e trasmettere il messaggio x = 920 usa la chiave privata d A = 17 e calcola sig ka (920) = (mod 2773) la coppia (messaggio, firma) è quindi (920, 948) Bob riceve (x, y) = (920, 948) verifica la firma usando la chiave pubblica di Alice e A = (mod 2773) ver ka (920, 948) = V

9 combinare firma e cifratura Alice ha il messaggio x da inviare a Bob firma e ottiene y = sig ka (x) cifra (x, y) usando e kb ottiene z = e kb (x, y) Alice invia a Bob il testo cifrato z Bob decifra usando la d kb e riottiene (x, y) poi usa l algoritmo di verifica ver ka per controllare se ver ka (x, y) = V esempio con lo schema RSA la chiave di Alice è k A = (N A, p A, q A, d A, e A ) = (2773, 47, 59, 17, 157), φ(n A ) = 2668 la chiave di Bob è k B = (N B, p B, q B, d B, e B ) = (1073, 29, 37, 25, 121), φ(n B ) = 1008 Alice vuole firmare e trasmettere il messaggio x = 920 usa la chiave privata d A = 17 e firma sig ka (920) = 948 la coppia (messaggio, firma) è quindi (920, 948) cifra con la chiave pubblica di Bob e B = 121 il testo cifrato è z = ( , ) = (246, 23) (mod 1073) Bob riceve z = (246, 23) decifra usando la sua chiave privata d B = 25 ritrova (x, y) = (246 25, ) = (920, 948) verifica la firma usando la chiave pubblica di Alice e A = (mod 2773) ver ka (920, 948) = V